Negli ultimi mesi la sicurezza Android è tornata sotto i riflettori, e questa volta a far parlare di sé è LANDFALL, una nuova famiglia di spyware scoperta dai ricercatori di Unit 42 di Palo Alto Networks. Si tratta di un software spia di livello commerciale, progettato per infiltrarsi nei dispositivi Samsung Galaxy sfruttando una vulnerabilità zero-day rimasta attiva per diversi mesi prima di essere corretta.
L’attacco, che secondo gli esperti ha colpito in particolare utenti in Medio Oriente, si distingue per il suo metodo di diffusione: un semplice file immagine DNG inviato via WhatsApp. Non serve cliccare nulla, non serve aprire l’allegato: basta riceverlo. Una volta raggiunto il telefono, LANDFALL ottiene accesso completo al sistema, permettendo agli attaccanti di registrare audio, tracciare la posizione, e persino estrarre contatti, foto e registri delle chiamate.
Segui TuttoAndroid su Google Discover
Come agisce LANDFALL e quali dispositivi ha colpito
Secondo il rapporto di Unit 42, LANDFALL rappresenta un’evoluzione dei software di sorveglianza sviluppati da società private con fini commerciali, analoghi a quelli già visti in altri spyware come Pegasus. Il malware ha sfruttato la vulnerabilità CVE-2025-21042, individuata nella libreria di elaborazione delle immagini dei dispositivi Samsung, e attivamente usata dagli attaccanti fin dalla metà del 2024, ben prima che Samsung la correggesse, ad aprile 2025.
Il codice malevolo era nascosto in file immagine DNG appositamente modificati, che sfruttavano un bug nel modo in cui la libreria di sistema gestiva questo formato fotografico. Una volta inviato tramite WhatsApp, lo spyware si attivava automaticamente, senza bisogno di interazione da parte dell’utente, in quello che i ricercatori definiscono un attacco zero-click.
L’obiettivo principale sarebbero stati dispositivi Samsung Galaxy S22, S23, S24 e Fold/Flip, in particolare in paesi come Iraq, Iran, Turchia e Marocco. Gli indizi raccolti suggeriscono l’impiego da parte di un attore del settore privato o di un gruppo specializzato nella vendita di strumenti di sorveglianza a governi e organizzazioni.
LANDFALL, una volta installato, è in grado di registrare l’audio ambientale, accedere alla posizione GPS, leggere messaggi e chat, estrarre foto, contatti e cronologia delle chiamate, mantenendo un livello di controllo quasi totale sul dispositivo infetto.
Un caso che conferma la fragilità dell’ecosistema mobile
La scoperta di LANDFALL riaccende i riflettori su un problema sempre più pressante: la sicurezza delle librerie di sistema integrate negli smartphone moderni. Negli ultimi mesi, anche Apple ha dovuto affrontare vulnerabilità simili legate all’elaborazione delle immagini, a dimostrazione di quanto queste componenti, spesso invisibili agli utenti, siano un bersaglio sempre più appetibile per gli attaccanti.
Samsung ha distribuito una patch per la falla in aprile 2025, ma gli esperti di Palo Alto sottolineano che l’attacco era attivo da molti mesi prima. È un segnale chiaro di come le vulnerabilità zero-day possano rimanere silenti e operative a lungo, spesso colpendo specifiche aree geografiche o categorie di utenti senza destare sospetti.
Per gli utenti, la lezione è semplice ma molto fondamentale: anche un messaggio apparentemente innocuo può nascondere un rischio, soprattutto se proviene da mittenti sconosciuti o canali non verificati. Aggiornare sempre il proprio dispositivo e installare le patch di sicurezza resta, ancora una volta, la prima e più efficace forma di difesa.